Was tun bei einem ransomware-angriff: schritt-für-schritt-reaktionsplan

Wenn Sie suchen, was zu tun ist, wenn ein ransomware-angriff erfolgt, müssen Sie schnell handeln, aber ohne Panik. Das Hauptziel in den ersten Minuten ist es, die Verbreitung der Malware zu stoppen, Beweise zu sichern, Backups zu schützen und eine sichere Wiederherstellung vorzubereiten. In diesem Artikel wird die praktische Vorgehensweise für Unternehmen und Privatanwender erläutert: wie man ransomware erkennt, was man ausschalten sollte, wem man berichten sollte, ob man das Lösegeld zahlen sollte und wie man das Risiko eines erneuten Angriffs minimieren kann.

Ein ransomware-virus blockiert den Zugriff auf Dateien und Systeme und fordert dann ein Lösegeld für den Entschlüsselungsschlüssel. Manchmal stehlen Angreifer auch Daten und drohen mit deren Veröffentlichung. Daher sollte die Reaktion nicht nur die Wiederherstellung von Dateien, sondern auch die mögliche Datenleckage berücksichtigen.

Kurzer plan für die ersten 15 minuten

Unten finden Sie einen kompakten Algorithmus, der hilft, Zeit zu gewinnen und Schäden zu minimieren. Er eignet sich für die meisten Fälle, wenn auf dem Computer verschlüsselte Dateien, eine Lösegeldforderung oder massenhafte Zugriffsfehler auf Daten aufgetreten sind.

1. Isolieren Sie das infizierte Gerät vom Netzwerk. Trennen Sie das Ethernet-Kabel, Wi‑Fi und VPN. Schließen Sie keine externen Festplatten an.
2. Löschen Sie die Forderungsschreiben und verdächtigen Dateien nicht. Diese könnten für Ermittlungen und die Suche nach einem Entschlüsseler benötigt werden.
3. Starten Sie den Computer nicht neu, es sei denn, ein Spezialist gibt Anweisung dazu. Manchmal gehen nach einem Neustart die Spuren des Angriffs verloren oder die Verschlüsselung wird fortgesetzt.
4. Informieren Sie den Verantwortlichen für IT oder Informationssicherheit. Wenn Sie zu Hause sind, notieren Sie die Uhrzeit des Vorfalls und fotografieren Sie den Bildschirm.
5. Schalten Sie Freigabeverzeichnisse und Netzwerkspeicher ab, falls Sie Zugriff haben. Es ist wichtig, die Verbreitung über SMB, RDP, VPN und andere Kanäle zu stoppen.
6. Überprüfen Sie die Backups, aber schließen Sie diese nicht an die infizierte Umgebung an. Backups müssen vor Überschreibung und Infektion geschützt werden.
7. Sammeln Sie minimale Daten. Gerätnamen, Benutzer, Zeitpunkt der Entdeckung, Erweiterungen von verschlüsselten Dateien, Text der Lösegeldforderungen.
8. Zahlen Sie nicht sofort. Bewerten Sie zunächst den Umfang, die Verfügbarkeit von Backups, rechtliche Risiken und die Möglichkeit einer kostenlosen Entschlüsselung.

Wie erkennt man, dass es sich um einen ransomware-angriff handelt

Nicht jede Beschädigung einer Datei bedeutet ransomware. Es gibt jedoch Anzeichen, die zusammen fast immer auf einen ransomware-angriff hinweisen.

Hauptzeichen einer Infektion

Typische Symptome sehen so aus:

• Dateien haben eine neue, ungewöhnliche Erweiterung erhalten;
• Dokumente, Datenbanken, Fotos oder Archive lassen sich nicht mehr öffnen;
• in Ordnern sind Dateien mit Anweisungen zur Lösegeldzahlung aufgetaucht;
• der Desktop wurde auf eine Bedrohungsnachricht geändert;
• Antivirus, EDR oder SIEM haben massenhafte Änderungen von Dateien festgestellt;
• Server arbeiten langsamer, während die Festplatten aktiv Daten schreiben;
• Benutzer haben keinen Zugriff mehr auf Netzwerkordner;
• Konten sind plötzlich gesperrt oder werden von ungewöhnlichen Adressen verwendet;
• Protokolle zeigen Verbindungen über RDP, PowerShell, PsExec oder verdächtigen Skripten.

Besonders gefährlich ist die Situation, wenn die Verschlüsselung auf mehreren Computern oder einem Datei-Server gleichzeitig erfolgt. Das bedeutet, dass die Angreifer bereits administrative Rechte erlangt haben könnten.

Was nicht als Beweis angesehen werden sollte

Eine einzelne beschädigte Datei, ein Festplattenfehler oder ein Programmfehler sind nicht immer mit Ransomware verbunden. Deshalb ist es wichtig, keine vorschnellen Schlussfolgerungen zu ziehen. Überprüfen Sie zunächst die Protokolle, Antivirus-Ereignisse, Anmeldehistorie und den Status anderer Geräte. Aber wenn ein Lösegeldschreiben vorhanden ist und massenhafte Umbenennungen von Dateien stattfinden, reagieren Sie wie bei einem echten Vorfall.

Schritt-für-Schritt-Reaktion auf den Vorfall

Bei einem ransomware-angriff ist es wichtig, konsequent zu handeln. Chaotische Handlungen erschweren die Ermittlungen und können den Schaden vergrößern. Im Folgenden finden Sie eine praktische Reihenfolge, die Sie als Checkliste verwenden können.

Schritt 1. Bestimmen Sie einen Koordinator

In einem Unternehmen sollte es einen verantwortlichen Koordinator geben: IT-Leiter, Sicherheitsspezialist, Schichtleiter oder externe Experten. Er dokumentiert die Entscheidungen, verteilt Aufgaben und verhindert widersprüchliche Handlungen.

Für einen Privatanwender ist die Rolle des Koordinators einfacher: Notieren Sie die Entdeckungszeit, was vor dem Vorfall passiert ist, welche Geräte angeschlossen waren und welche Dateien betroffen sind.

Schritt 2. Isolieren Sie infizierte Systeme

Die Isolation hat höchste Priorität. Trennen Sie das Netzwerk von infizierten Geräten, aber beginnen Sie nicht, alles planlos abzuschalten. Wenn die Verschlüsselung aktiv auf einem Datei-Server erfolgt, kann es erforderlich sein, das Netzwerkinterface sofort zu trennen oder den Zugriff auf gemeinsame Ressourcen zu blockieren.

Was zu tun ist:

• Netzwerkkabel an infizierten Arbeitsplätzen abtrennen;
• Wi‑Fi und VPN-Clients ausschalten;
• verdächtige Konten blockieren;
• RDP, SMB und administrative Verbindungen vorübergehend einschränken;
• Die Synchronisation von Cloud-Ordnern abstellen, wenn diese verschlüsselte Dateien verbreiten;
• kritische Server von dem Benutzer-Netzwerk trennen.

Was vermieden werden sollte: Schließen Sie keine USB-Sticks, externen Festplatten und Backup-Medien an den infizierten Computer an. Andernfalls kann die einzige Kopie der Daten verschlüsselt werden.

Schritt 3. Bewahren Sie Beweise auf

Beweise helfen dabei, den Eindringlingsweg nachzuvollziehen und eine Wiederherstellungsmethode zu finden. Löschen Sie die Lösegeldforderung, verdächtige ausführbare Dateien, Archive, Skripte und Protokolle nicht. Wenn möglich, erstellen Sie ein Disk-Image oder einen Snapshot der virtuellen Maschine.

Nützlich ist es, Folgendes zu speichern:

• Screenshots der Lösegeldnachrichten;
• ein Beispiel einer verschlüsselten Datei und deren Original, falls vorhanden;
• Text der Lösegeldforderung;
• Protokolle von Windows, Linux, VPN, Firewall, Mail-Gateway und EDR;
• Liste aktiver Prozesse und Netzwerkverbindungen;
• Angaben zur Zeit der ersten Aktivität.

Versenden Sie keine vertraulichen Dateien an zufällige Websites zur Überprüfung. Verwenden Sie nur vertrauenswürdige Dienste und löschen Sie persönliche oder kommerzielle Daten, wenn möglich, im Voraus.

Schritt 4. Stoppen Sie die Konten der Angreifer

Viele moderne ransomware-angriffe beginnen nicht mit einer Virusdatei, sondern mit einem gestohlenen Passwort. Angreifer gelangen über VPN, RDP, Cloud-Panel, E-Mail oder Administratorkonten in das System. Daher ist es notwendig, verdächtige Logins schnell zu überprüfen.

Maßnahmen:

• Trennen Sie Konten, die mit verdächtigen Logins assoziiert sind;
• Ändern Sie die Passwörter der Administratoren von einem sauberen Gerät aus;
• Widerrufen Sie aktive VPN-Sitzungen und Tokens;
• Überprüfen Sie die Weiterleitungsregeln in der E-Mail;
• Aktivieren Sie die MFA dort, wo sie fehlte;
• Überprüfen Sie neue Konten und Änderungen in den Administratorgruppen.

Es ist wichtig, Passwörter nur nach der Isolation infizierter Systeme zu ändern. Wenn auf dem Computer ein Virus aktiv ist, kann dieser neue Anmeldedaten abfangen.

Schritt 5. Bestimmen Sie den Umfang des Angriffs

Vor der Wiederherstellung müssen Sie wissen, was genau infiziert ist. Andernfalls riskieren Sie, ein System zu aktiviqeren, in dem der Angreifer weiterhin vorhanden ist.

Überprüfen Sie:

• Arbeitsstationen der Benutzer;
• Datei-Server und Netzwerkordner;
• Domänencontroller;
• Backup-Server;
• Hypervisoren und Speicher für virtuelle Maschinen;
• Cloud-Kataloge und SaaS-Dienste;
• Mailboxen und Weiterleitungsregeln;
• Protokolle von VPN, Firewall und Proxy.

Erstellen Sie eine Liste der Systeme in drei Kategorien: infiziert, verdächtig, bedingt sauber. Aktualisieren Sie diese dann während der Ermittlungen.

Schritt 6. Schützen Sie die Backups

Backups sind die Hauptressource bei der Wiederherstellung nach einem ransomware-angriff. Doch viele Angriffe sind gezielt auf Backup-Server ausgerichtet. Deshalb sollten Sie die Wiederherstellung nicht beginnen, bevor Sie sich vergewissert haben, dass die Kopien nicht beschädigt und nicht für die Angreifer zugänglich sind.

Überprüfen Sie, ob:

• Offline-Kopien auf getrennten Medien vorhanden sind;
• unveränderbare Backups existieren, z.B. immutable storage;
• Kopien vor dem Kompromittierungsdatum vorhanden sind;
• separate Konten für das Backup-System vorhanden sind;
• Protokolle von Löschungen, Überschreibungen oder fehlgeschlagenen Backup-Jobs vorhanden sind.

Wenn Backups in der Cloud gespeichert werden, überprüfen Sie die Versionshistorie, den Papierkorb, die Zugriffsberechtigungen und die Anmeldeprotokolle.

Schritt 7. Wählen Sie eine Wiederherstellungsstrategie

Es gibt drei Hauptoptionen: Wiederherstellung aus Backups, Entschlüsselung mit einem verfügbaren Tool oder vollständige Neuinstallation mit der Übertragung sauberer Daten. Oft wird eine Kombination verwendet.

Situation	Beste Maßnahme	Zu vermeidende Aktionen
Es gibt saubere Backups	Systeme neu installieren und Daten aus Kopien wiederherstellen	Über Wiederherstellen über ein infiziertes Betriebssystem
Ein bekannter Entschlüsseler ist verfügbar	Testen Sie ihn mit Kopien von Dateien	Ungeprüfte Tools von unbekannten Autoren ausführen
Es gibt keine Backups	Speichern Sie Disk-Images und wenden Sie sich an Spezialisten	Verschlüsselte Dateien sofort löschen und Festplatten formatieren
Anzeichen eines Datenlecks sind vorhanden	Rechtsanwälte und Management einbeziehen	Den Vorfall vor den Verantwortlichen zu verbergen
Die Infrastruktur der Domäne ist infiziert	Das vertrauenswürdige Umfeld von Grund auf neu oder aus sauberen Kopien wiederherstellen	Einfach nur die Passwörter ändern und die Server wieder einschalten

Sollten Sie das Lösegeld zahlen

Die kurze Antwort: Zahlen sollte man nicht, solange nicht alle sicheren Optionen ausgeschöpft sind. Die Zahlung garantiert keine Entschlüsselung, garantiert keine Löschung der gestohlenen Daten und kann zusätzliche rechtliche sowie reputationsschädigende Risiken schaffen. Außerdem zeigen Sie den Kriminellen, dass die Organisation bereit ist zu zahlen.

In der Realität wird die Entscheidung manchmal in Betracht gezogen, wenn es um kritische Infrastruktur, Lebensbedrohungen oder das völlige Fehlen wiederherstellbarer Kopien geht. In diesem Fall sollte die Entscheidung vom Management zusammen mit Juristen, Sicherheitsspezialisten und gegebenenfalls Strafverfolgungsbehörden getroffen werden. Es ist wichtig, die Sanktionen zu berücksichtigen und das Risiko der Finanzierung von kriminellen Gruppen zu beachten.

Vor jeder Entscheidung sollten Sie überprüfen:

• ob funktionierende Backups vorhanden sind;
• ob der Typ der Ransomware bekannt ist;
• ob ein kostenloser Entschlüsseler verfügbar ist;
• ob Daten gestohlen wurden;
• welche Gesetze und vertraglichen Verpflichtungen anwendbar sind;
• wie sich die Zahlung auf die zukünftige Sicherheit auswirkt.

Wenn die Angreifer einen sogenannten Nachweis über die Entschlüsselung einer Datei gesendet haben, garantiert dies dennoch nicht die Wiederherstellung der gesamten Infrastruktur.

Wo man nach einem Entschlüsseler suchen sollte

Manchmal können Dateien ohne Lösegeld wiederhergestellt werden. Für bestimmte Familien von Ransomware werden kostenlose Entschlüsseler veröffentlicht. Begonnen werden kann bei bekannten Projekten zur Bekämpfung von Erpresssoftware wie No More Ransom, den Websites von Antivirenherstellern und Empfehlungen nationaler Cybersecurity-Zentren.

Vor der Verwendung eines Entschlüsselers:

1. Machen Sie Kopien der verschlüsselten Dateien.
2. Bewahren Sie die Originaldateien unverändert auf.
3. Führen Sie das Tool auf einer isolierten Maschine aus.
4. Überprüfen Sie die Downloadquelle.
5. Testen Sie die Entschlüsselung an einem kleinen Datensatz.

Verlassen Sie sich nicht auf Websites, die eine universelle Entschlüsselung aller Ransomware versprechen. Einen universellen Entschlüsseler gibt es nicht.

Wiederherstellung nach einem ransomware-angriff

Wiederherstellung bedeutet nicht nur Rückkehr von Dateien. Sie müssen sicherstellen, dass der Angreifer keinen Zugriff mehr hat und die Schwachstelle, über die der Angriff erfolgte, geschlossen ist.

Stellen Sie nur in eine saubere Umgebung wieder her

Der beste Ansatz ist die Bereitstellung neuer Systeme oder deren Wiederherstellung aus nachweislich sauberen Images. Installieren Sie danach Updates, richten Sie den Schutz ein, ändern Sie die Passwörter und übertragen Sie erst dann die Daten aus geprüften Backups.

Es ist nicht ratsam, einfach die Malware zu löschen und die Arbeit fortzusetzen. Moderne Ransomware-Gruppen hinterlassen oft mehrere Wege für einen erneuten Zugang: neue Konten, Aufgaben des Taskplaners, Web-Shells, geänderte Richtlinien, Zugangstoken und versteckte Remote-Management-Tools.

Überprüfen Sie das Kompromittierungsdatum

Die Infektion kann Tage oder Wochen vor der Verschlüsselung begonnen haben. Wenn Sie eine zu frische Kopie wiederherstellen, könnten Sie bereits ein kompromittiertes System ins Netz zurückbringen. Suchen Sie deshalb nach frühen Anzeichen: erster verdächtiger Login, Start eines Skripts, Erstellung eines neuen Kontos, Deaktivierung von Schutzmaßnahmen, Netzwerk-Scan.

Testen Sie die Daten vor der Wiederinbetriebnahme

Überprüfen Sie vor der Rückkehr der Systeme in die Nutzung die Integrität der Datenbanken, die Zugriffsrechte, die Funktionalität der Anwendungen und die Aktualität der Konfigurationen. Führen Sie für kritische Dienste einen Testlauf in einem isolierten Segment durch.

Nützliche Reihenfolge:

1. Wiederherstellung der Infrastruktur-Dienste: Domain, DNS, DHCP, Identifikation.
2. Wiederherstellung der Sicherheitslösungen: EDR, SIEM, Protokolle, Backups.
3. Hochfahren von geschäftskritischen Anwendungen.
4. Überprüfung von Daten und Zugriffsrechten.
5. Benutzergruppenweise anschließen, nicht alle auf einmal.
6. Überwachung des Netzwerks nach dem Start.

Was Unternehmen bei einem ransomware-angriff tun sollten

Für eine Organisation betrifft ein Vorfall mit Ransomware nicht nur die IT. Er hat Auswirkungen auf den Betrieb, die Kunden, Verträge, persönliche Daten und Finanzen. Deshalb ist es wichtig, sofort das Management und die juristische Abteilung einzubeziehen.

Organisieren Sie die Kommunikation

Bestimmen Sie Verantwortliche für interne Mitteilungen, Gespräche mit Kunden, Partnern und Dienstleistern. Geben Sie keine unüberprüften Versprechen ab. Besser ist es, Fakten zu kommunizieren: welche Dienste nicht verfügbar sind, was bereits unternommen wurde, wann das nächste Update erfolgen wird.

Mitarbeiter müssen informiert werden über:

• Welche Systeme nicht eingeschaltet werden dürfen;
• Wohin man merkwürdige Dateien und E-Mails melden kann;
• Ob persönliche Geräte verwendet werden dürfen;
• Welche Kommunikationstipps offiziell sind;
• Wer Entscheidungen über die Wiederherstellung trifft.

Bewerten Sie das Risiko einer Datenleckage

Wenn Angreifer Zugriff auf das Netzwerk hatten, ist ein Diebstahl von Informationen nicht auszuschließen. Überprüfen Sie den ausgehenden Datenverkehr, Archive, Cloud-Uploads, Proxy-Protokolle, E-Mails und Handlungen privilegierter Konten. Wenn möglicherweise persönliche Daten, Geschäftsgeheimnisse oder Kundendaten betroffen sind, sollten Anwälte einbezogen werden und die Benachrichtigungspflichten geklärt werden.

In verschiedenen Ländern und Sektoren gelten unterschiedliche Anforderungen. Daher gibt es keine allgemeine unverbindliche Vorlage für Benachrichtigungen. Aber den Vorfall innerhalb der Organisation zu verbergen ist gefährlich: Es erschwert die ordnungsgemäße Untersuchung und erhöht das Risiko eines erneuten Angriffs.

Wenden Sie sich an Experten, wenn Sie keine Erfahrung haben

Wenn Server, Domänen, Backups oder mehrere Standorte infiziert sind, ist es besser, ein Incident-Response-Team zu engagieren. Die Spezialisten helfen dabei, Beweise zu sichern, den Eindringungsweg zu finden, Datenleckagen zu bewerten und einen sicheren Wiederherstellungsplan zu erstellen.

Was tun Sie, wenn ein ransomware-virus Ihren persönlichen Computer angreift

Wenn Ransomware Ihren persönlichen Computer angreift, ist die Vorgehensweise einfacher, aber die Prinzipien bleiben gleich.

Gehen Sie wie folgt vor:

1. Trennen Sie den Computer vom Internet und vom Heimnetzwerk.
2. Schließen Sie keine externe Festplatte mit Fotos oder Archiven an.
3. Fotografieren Sie die Lösegeldnachricht.
4. Kopieren Sie einige verschlüsselte Dateien und das Schreiben auf ein separates Medium, wenn der Spezialist dies anfordert.
5. Überprüfen Sie andere Geräte im Haus.
6. Ändern Sie Passwörter für E-Mail, Bank, Cloud-Dienste und soziale Netzwerke von einem sauberen Gerät aus.
7. Überprüfen Sie Cloud-Speicher und die Versionsgeschichte von Dateien.
8. Prüfen Sie, ob es einen kostenlosen Entschlüsseler für Ihre Art von Ransomware gibt.
9. Installieren Sie das System neu oder suchen Sie eine Servicewerkstatt auf, wenn Sie sich nicht sicher sind, ob der Computer sauber ist.

Wenn in der Cloud verschlüsselte Dateien synchronisiert wurden, eilen Sie nicht, um die Ordner zu leeren. Viele Dienste erlauben es, frühere Versionen wiederherzustellen oder den Zustand des Verzeichnisses zurückzuversetzen.

Wie man einen erneuten Angriff verhindert

Nach der Wiederherstellung sollten die Ursachen des Vorfalls geschlossen werden. Andernfalls kann es zu einem erneuten Angriff durch dieselben Anmeldedaten oder Schwachstellen kommen.

Stellen Sie zuverlässige Backups ein

Eine gute Backup-Strategie basiert auf dem Prinzip mehrerer unabhängiger Kopien. Ein praktischer Richtwert ist, Daten an mindestens verschiedenen Orten zu speichern und eine Kopie zu haben, die nicht schnell aus dem Arbeitsnetz verändert werden kann.

Überprüfen Sie:

• die Regelmäßigkeit der Sicherung;
• automatisierte Testwiederherstellung;
• separate Konten für Backup;
• Schutz vor Löschung und Überschreibung;
• Offline- oder unveränderbare Kopien;
• Dokumentationen zur Wiederherstellung kritischer Systeme.

Ein Backup, das nie getestet wurde, kann nicht als zuverlässig betrachtet werden.

Stärken Sie Zugänge und Konten

Der größte Teil des Schadens entsteht durch privilegierte Rechte. Beschränken Sie die Administratorzugriffe, verwenden Sie MFA, deaktivieren Sie ungenutzte Konten und überprüfen Sie regelmäßig die Administratorgruppen.

Achten Sie besonders auf RDP und VPN. Lassen Sie RDP nicht offen im Internet. Verwenden Sie für den Fernzugriff VPN, MFA, IP-Einschränkungen und überwachen Sie die Zugriffe.

Aktualisieren und segmentieren Sie das Netzwerk

Updates schließen bekannte Schwachstellen, und die Segmentierung verhindert, dass Ransomware schnell auf alle Systeme zugreift. Trennen Sie Benutzercomputer, Server, Backups, Produktionssysteme und administrative Arbeitsplätze voneinander.

Zusätzlich nützlich sind:

• EDR oder hochwertige Antiviruslösungen;
• zentrale Protokollsammlung;
• Filterung von E-Mails und Anhängen;
• Verbot von Makros aus dem Internet;
• Kontrolle bei der Ausführung von Skripten;
• Prinzip der minimalen Berechtigungen;
• Schulung von Mitarbeitern in Bezug auf Phishing;
• einen Incident-Response-Plan.

Häufig gestellte Fragen zu ransomware-angriffen

Kann man den Computer während eines ransomware-angriffs ausschalten?

Wenn die Verschlüsselung aktiv fortgesetzt wird, ist die Isolation vom Netzwerk das Wichtigste. Ein vollständiges Ausschalten hilft manchmal, den Prozess zu stoppen, kann aber Daten im Arbeitsspeicher löschen, die für die Ermittlungen benötigt werden. In einem Unternehmen empfiehlt es sich, zunächst das Netzwerk abzuschalten und einen Spezialisten zu rufen. Zu Hause kann ein Ausschalten eine angemessene Maßnahme sein, um Schäden zu stoppen, wenn der Prozess deutlich Dateien verschlüsselt und keine Hilfe verfügbar ist.

Sollte man den Virus sofort löschen?

Eilen Sie nicht. Speichern Sie zunächst Beweise und Beispiele von Dateien. Löschen Sie dann die Schadsoftware oder installieren Sie das System neu. Wenn Sie alles sofort löschen, wird es schwieriger, zu verstehen, wie der Angriff erfolgte und welche Daten möglicherweise betroffen sind.

Können Dateien ohne Backup wiederhergestellt werden?

Manchmal ja, wenn für eine spezifische Familie von Ransomware ein Entschlüsseler vorhanden ist oder wenn Daten in Schattenkopien, Cloud-Versionen, E-Mail-Anhängen oder anderen Geräten erhalten geblieben sind. Aber es gibt keine Garantien. Daher bleiben Backups die Hauptschutzmethode.

Hilft Antivirus nach einer Infektion?

Antivirus kann einige schädliche Prozesse stoppen und Reste von Malware finden. Aber es entschlüsselt nicht immer Dateien und ersetzt nicht die Ermittlungen. Nach einem Angriff ist es wichtig, den Eindringungsweg zu verstehen, kompromittierte Anmeldedaten zu ändern und Systeme aus einer sicheren Quelle wiederherzustellen.

Was tun, wenn der 1C-Server oder die Datenbank verschlüsselt wurde?

Isolieren Sie zunächst den Server und stoppen Sie den Zugriff der Benutzer. Bewahren Sie dann eine Kopie der verschlüsselten Datenbank, Logs und Backups auf. Stellen Sie die Datenbank nur in einer sauberen Umgebung wieder her und überprüfen Sie unbedingt die Datenintegrität. Wenn der Server Teil einer Domain war, überprüfen Sie auch Konten, Netzwerkordner und benachbarte Server.

Wie erkennt man, ob Daten gestohlen wurden?

Analysieren Sie die Protokolle des ausgehenden Traffics, die Aktivitäten der Konten, das Archivieren von Dateien, die Verbindungen zu Cloud-Diensten und die Tools der Angreifer. Das Fehlen offensichtlicher Beweise bedeutet nicht immer, dass keine Datenleckage stattgefunden hat. Wenn die Daten sensibel sind, ist es besser, eine umfassende Untersuchung durchzuführen.

An wen sollte man sich nach einem Angriff wenden?

Unternehmen sollten sich an Incident-Response-Spezialisten, Anwälte, Versicherungen (falls eine Cyberversicherung besteht) und gegebenenfalls an Strafverfolgungsbehörden wenden. Privatanwender können sich an ein vertrauenswürdiges Service-Center wenden und nach einem Entschlüsseler in vertrauenswürdigen Quellen suchen.

Abschließender Aktionsplan

Bei einem ransomware-angriff ist das Wichtigste, nicht in Panik zu zahlen und die Systeme nicht blind wiederherzustellen. Isolieren Sie zuerst die infizierten Geräte, sichern Sie Beweise, schützen Sie Backups und bestimmen Sie den Umfang des Vorfalls. Stellen Sie anschließend die Daten nur in einer sauberen Umgebung wieder her, ändern Sie die kompromittierten Zugänge und schließen Sie den Eindringungsweg. Beginnen Sie jetzt mit der Isolation, dokumentieren Sie die Anzeichen des Angriffs und ziehen Sie Spezialisten hinzu, wenn Server, Backups oder wichtige Daten betroffen sind.